チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「Everest Formsって、うちのお問い合わせフォームでも使ってるかもでしゅ……乗っ取られるって本当でしゅか？」
「『diksimarina』っていう管理者がいたら、それだけで侵入されてるってことでしゅか？」
チップスWordPressの管理画面、最近のぞいてないでしゅ……ちょっと不安になってきたでしゅ。
ボスふふふ、ちょうどいい機会だ。今回の攻撃は痕跡が分かりやすい。すぐに点検できる。
本記事では、Everest Forms Proの未認証RCE脆弱性CVE-2026-3300の手口と、サイトを守るための初動を解説します。
5分後には自社サイトのプラグイン版数と管理者リストを点検する手順が分かります。
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
脆弱性の発見から悪用観測までの流れを整理します。
研究者h0xiloがWordfence経由でCVE-2026-3300を2026年2月に報告し、3月18日に修正版が公開されました。
その後4月13日から実環境での悪用が観測されており、Wordfenceは29,300件超の攻撃をブロックしています。
攻撃元はおもに2つのIP（202.56.2.126、209.146.60.26）に集中しており、自動化された大規模スキャンが進行している状態です。
未更新サイトは時間との勝負になっています。
主な経過は以下のとおりです。
事案の詳細はBleepingComputerの報道で確認できます。
Everest Formsは無料版・Pro版とも世界中で利用されているお問い合わせフォーム系プラグインです。
日本企業のコーポレートサイトやLPでも採用例があり、Pro版を入れたまま放置しているケースは少なくありません。
侵害された場合、管理者権限の作成→バックドア設置→データベース閲覧まで一気に進むため、ブランド毀損と個人情報漏洩を同時に抱えるリスクがあります。
チップスお問い合わせフォームなんて地味な部分から乗っ取られるなんて、盲点でしゅ！
ボスそう、攻撃者は地味な拡張機能をよく狙う。本体だけ守っても意味がない、と覚えておくがいい。
攻撃の中身と、いま実行すべき点検手順をまとめます。
脆弱性は「Complex Calculation（複合計算）」機能に存在し、フォームから受け取った値をPHP文字列に差し込んだうえでeval()で実行する設計でした。
sanitize_text_field()は使われていましたが、シングルクオートやPHP構文文字をエスケープしていなかったため、攻撃者は引用符を閉じて任意コードを挿入できました。
攻撃者はwp_insert_user()で管理者アカウントを作成し、//で残りのコードを無効化する手口を取っています。
攻撃の特徴と痕跡は以下のとおりです。
| 項目 | 内容 |
|---|---|
| 影響バージョン | Everest Forms Pro 1.9.12以前 |
| 攻撃前提 | 未認証（フォーム送信のみで成立） |
| 侵害の痕跡 | 管理者「diksimarina」の自動生成 |
| 主な攻撃元IP | 202.56.2.126／209.146.60.26 |
すぐ着手すべきは、プラグイン更新と管理者一覧の精査です。
とくに「diksimarina」というユーザー名が出てきたら、侵害確定として隔離対応に入ってください。
更新後も、過去に作成された不審アカウントは消えないため、ユーザー棚卸しと監査ログ確認をセットで実施しましょう。
チップス管理者一覧のチェックなら今すぐ管理画面でできるでしゅ！
ボスそうだ。怪しいアカウントが見つかったら、まずパスワード変更とログイン無効化を行う。話はそれからだ。
CVE-2026-3300は、未認証で管理者権限まで一気に奪われる重大脆弱性です。
修正は3月18日に出ており、4月13日から大規模スキャンが続いていることを踏まえると、未更新サイトはすでに侵害されている可能性すらあります。
Everest Forms Proの更新、「diksimarina」アカウント確認、4月以降のユーザー登録ログの精査、この3点を今日中に終わらせてください。
サイトを乗っ取られた後の復旧コストは、点検時間の100倍では済みません。
ボス痕跡が分かりやすい今のうちに動け。曖昧なまま放置するのが一番危ない。
チップス今すぐ管理画面を開いて、ユーザー一覧見てくるでしゅ！
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
